Es wurden vor kurzem Details zu zwei sehr kritischen Sicherheitslücken in PHP bekanntgegeben (CVE-2026-109618 und CVE-2026-109619). Die Probleme sitzen in der Art und Weise, wie PHP Datei-Uploads (multipart/form-data) verarbeitet, was zu schwerwiegenden Remote Code Execution-Risiken führen kann.
Aktuell steht die PHP-Community vor der Aufgabe, das Risiko zu managen, bis die offiziellen Sicherheitspatches angeblich am 21.10.2026 bereitstehen. Viele Diskussionen drehen sich derzeit um das Blockieren bestimmter HTTP-Requests.
Was derzeit diskutiert wird (z. B. das Abschalten von session.upload_progress oder das Blockieren von multipart-Requests auf Webserver-Ebene wie Nginx oder Apache), sind Workarounds.
Aus sicherheitstechnischer Perspektive sind das keine sauberen Lösungen. Es handelt sich um Notbehelfe, die den Schaden begrenzen, aber nicht das eigentliche Problem beheben. Zudem gehen diese Maßnahmen oft auf Kosten der Funktionalität deiner eigenen Applikation, da dann im Normalfall auch keine Datei-Uploads mehr funktionieren. Der einzige wirklich saubere Fix ist und bleibt das Einspielen der offiziellen Patches.
Wenn du wissen möchtest, wie du die temporären Maßnahmen für deine Infrastruktur konkret konfigurierst, bis der Patch da ist, schau dir bitte den Artikel von Vincent Schmalbach an. Er liefert die nötigen technischen Details und Warnhinweise dazu: